De la Seguridad del acceso a datos en aplicaciones ASP ... - Willy .Net

Más información
Para obtener todos los detalles de implementación de esta opción, consulte "Cómo
utilizar la autenticación mediante Formularios con SQL Server 2000" en la sección
Referencia de esta guía.
Ataques de inyección SQL
Si utiliza la autenticación mediante Formularios en una base de datos SQL, debería
tomar las precauciones que se describen en esta sección para evitar ataques de
inyección SQL. La inyección SQL es el acto de pasar código SQL adicional (y
dañino) a una aplicación, que suele agregarse al código SQL legítimo de la
aplicación. Todas las bases de datos SQL pueden ser objeto de la inyección SQL en
mayor o menor medida, pero este capítulo se centra en SQL Server.
Debería prestar especial atención a la posibilidad de recibir ataques de inyección
SQL cuando procese acciones de usuario que formen parte de un comando SQL. Si
el esquema de autenticación se basa en la validación de usuarios en una base de
datos SQL, por ejemplo, si utiliza la autenticación mediante Formularios en SQL
Server, debe protegerse de los ataques de inyección SQL.
Si crea cadenas SQL con entrada no filtrada, la aplicación puede ser objeto de una
entrada del usuario malintencionada (recuerde que nunca debe confiar en las
entradas del usuario). El riesgo en este caso es que al insertar la entrada del usuario
en una cadena que se convierte en una instrucción ejecutable, un usuario
malintencionado puede agregar comandos SQL a las instrucciones SQL pretendidas,
mediante caracteres de escape.
Los fragmentos de código de las siguientes secciones utilizan la base de datos Pubs
que suministra SQL Server para mostrar ejemplos de inyección SQL.
Problema
La aplicación debe ser susceptible de recibir ataques de inyección SQL al incorporar
entradas del usuario u otros datos desconocidos en consultas de base de datos. Por
ejemplo, los dos fragmentos de código siguientes son susceptibles de recibir un
ataque.
Crea instrucciones SQL con acciones del usuario sin filtrar.
SqlDataAdapter myCommand = new SqlDataAdapter(
"SELECT au_lname, au_fname FROM authors WHERE au_id = '" +
Login.Text + "'", myConnection);
Llama a un procedimiento almacenado generando una única cadena que
incorpore acciones del usuario sin filtrar.
SqlDataAdapter myCommand = new SqlDataAdapter("LoginStoredProcedure '" +
Login.Text + "'", myConnection);
Anatomía de un ataque de inyección de cadenas SQL
Cuando se aceptan los valores de entrada del usuario sin filtrar en la aplicación
(como se muestra anteriormente), un usuario malintencionado puede utilizar
caracteres de escape para agregar sus propios comandos.
Piense, por ejemplo, en una consulta SQL que espera que la entrada del usuario sea
un número de la seguridad social como 172-32-xxxx y que tiene el siguiente aspecto: